CN102201043A - 基于资源属性审核对数据的访问 - Google Patents

Abstract

本发明涉及基于资源属性审核对数据的访问。描述了在操作系统安全系统中实现的一种技术，通过该技术，一资源的元数据(例如包括数据属性)相对于与该资源(例如对象)相关联的一个或多个审核规则来被评估。审核规则可以与和资源管理器相对应的所有这样的资源相关联，以及/或者由资源专用的审核规则。当访问资源时，相对于元数据处理每个审核规则以确定是否为该规则生成审核事件。审核规则可以是以一个或多个条件表达式的形式。审核事件可以被保持和查询以便获得针对各种使用情况的审核信息。

Description

基于资源属性审核对数据的访问

技术领域

本发明涉及操作系统的安全机制，尤其涉及审核策略。

背景技术

审核对对象的访问是操作系统的安全机制的有价值的部分。安全审核事件显示出对象访问的历史(一般是谁以及在何时访问了什么对象)，有助于诊断数据访问。这对于诸如机构中的数据安全缺口的法庭调查这样的情况有着实际含义。

为了改进系统性能并消除噪声，由操作系统展示审核规则。这允许系统管理员指定根据其来触发安全审核事件的标准。例如，管理员可以对特定对象类型(例如文件对象)的对象访问事件、特定主体(用户/组)、访问决策(许可或拒绝)或特定许可设置审核规则。

审核策略还允许管理员配置资源管理器范围的审核策略。这种方案允许监视对象相关的活动而无须跨系统中的每个个别对象而复制和同步审核策略。然而，该方法的缺陷在于，它生成了许多噪声、洪泛(flood)了系统日志并且降低了总体系统性能。由此，该方法仅被推荐用于，当访问被拒这样的差错的源从用户应用不是非常可见时，对访问被拒问题的诊断情况。

发明内容

提供本发明内容以便以简化形式介绍将在以下的详细描述中进一步描述的一些代表性概念。本发明内容不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在以限制所要求保护的主题的范围的任何方式来使用。

简言之，本文描述的主体的各方面针对这样一种技术，根据该技术，相对于与一资源相关联的一个或多个审核规则来评估该资源的元数据。审核规则可通过资源管理器与资源相关联，例如，对于由此管理的所有这样的资源、和/或对于该资源的资源专用的一个或多个审核规则。当访问一资源时，相对于元数据(有可能连同环境属性/状态数据)处理每一个审核规则以确定是否要为该规则生成审核事件。

在一种实现中，审核规则的是以一个或多个条件表达式的形式的。如果满足，例如结果为真(TRUE)，则生成审核事件。

审核事件可以包括关于事件的各种数据，例如，访问请求成功或失败、用户数据、用户声明、资源数据、资源属性、所请求的访问类型、环境数据、失败或成功理由、策略数据、时戳和/或审核标识符。审核事件可以被维持在日志和/或数据库中，并被查询以获得各种使用情况的审核信息。

结合附图阅读以下具体实施方式，本发明的其他优点会变得显而易见。

附图说明

作为示例而非限制，在附图中示出了本发明，附图中相同的附图标记指示相同或相似的元素，附图中：

图1是表示用于基于对象元数据来审核资源访问的计算环境中的示例组件的框图。

图2是与审核事件和审核事件日志相关联的各种信息的表示。

图3是表示可由审核逻辑在接收到对象访问请求时确定是否要触发审核事件时采取的各步骤的流程图。

图4示出可以将本发明的各方面并入其中的计算环境的说明性示例。

具体实施方式

本文描述的技术的各方面一般针对基于对象的元数据来配置每对象的审核策略，借此审核触发受到对对象元数据的改变的影响。还描述了允许使用涉及对象(资源)属性的条件表达式来定义审核规则，所述对象属性诸如文件的敏感性、创建者、项目等。当处理规则时，相对于对象的属性(以及可能基于环境属性或诸如访问请求从哪里始发这样的其他状态数据)来评估条件表达式。如果表达式评估为真，则触发审核事件；对象访问也可被许可或拒绝。这允许基于对象的独立于其在系统中的物理位置的特征来审核对象。

应当理解，此处的任何示例都是非限制性的。实际上，为说明起见，本文一般描述了对形式为文件的对象/资源的访问，但是文件仅仅是对象/资源的一种类型；其他对象/资源可包括任何数据集以及物理实体和/或虚拟实体，其中数据集诸如文件的诸部分、数据库行和/或列等，物理实体诸如计算机和外围设备，虚拟实体诸如应用角色。如此，本发明不限于此处所描述的任何特定实施例、方面、概念、结构、功能或示例。相反，本文描述的任何一个实施例、方面、概念、结构、功能或示例都是非限制性的，可以以一般而言在计算和资源审核时提供好处和优点的各种方式来使用本发明。

图1示出其中资源102目前与资源元数据104相关联的示例计算环境。例如，如果资源102是文件，诸如由在目录服务106(例如Active

)定义的用户所访问的文件，则除了常规的文件属性以外，资源元数据104可包括由分类过程确定的当前信息，诸如文件是否包含敏感数据。分类过程可以例如通过作为资源访问过程的一部分按需更新分类元数据，来执行实时的资源标记。一种这样的分类过程在第12/427,755号美国专利申请中进一步描述，该过程可包括处理数据项的内容，该专利申请通过引用被结合于此。该技术在微软公司的

Server 2008 R2中实现为文件分类基础结构(FCI)，并且可以用作文件服务器资源管理器(FSRM)服务器角色的一部分，所述文件分类基础结构用于定义分类属性并将其分配给文件，并且指定动作以应用于文件服务器上的文件。

资源元数据104以某一方式与资源102相关联，所述方式例如通过根据某些规则将资源元数据自动分配给文档的声明性分类规则、通过指向在诸如系统范围对象数据库的中央位置中的分类属性的高速缓存的参考指针、和/或通过将资源标签存储在文件资源的替代数据流中，如在通过引用被结合于此的第12/605,451号、题为“用于文件分类的替代数据流高速缓存(Alternate DataStream Cache for File Classification)”的美国专利申请中描述的。注意到，资源元数据的一些或全部可以从分类规则中推断出来，并且不必要被存储。此外，任何被存储的资源元数据104可以以任何方式被维持，包括与资源102物理上一起被保持，或者物理上与资源102分开(例如在一些数据库和/或其他文件)、或者两者的某一组合。图1中用资源元数据104和资源102之间的虚线一般地表示了非存储和/或存储的这一方面，且如果被存储则独立于任一特定的物理关联。

通常，资源元数据104由审核/授权引擎110的策略评估机制108来评估，以便基于连同访问请求112一起被提交给操作系统的用户声明114/访问令牌116来许可或拒绝访问请求112。除了常规访问控制列表(ACL)评估对访问令牌116以确定是许可还是拒绝访问以外，可以相对于策略来评估资源元数据104的一些或全部，如通过引用结合于此的第12/622,441号美国专利申请中进一步描述的。

由此，资源元数据104包含可以与用户声明114联合用来应用策略的信息。然而，如果被高速缓存，资源元数据104可以是不适用的或者以其他方式无效。例如，存在许多经高速缓存的资源标签不适用的方式，包括如果文件被修改或移动(从而使属性不适用)；由此，这包括内容改变，和/或如果文件被重命名或移动到文件系统内的另一位置(这可能导致基于新位置的分类改变)。经高速缓存的资源元数据变为无效的另一种方式是如果在先前分类中使用的分类规则(在上述第12/427,755号美国专利申请中描述的)已经被修改，和/或如果确定分类的模块的内部状态或配置被修改。例如，即使分类规则未改变，组合两个或更多分类规则的顺序和/或方式也可能改变，任何这样的状态改变可能导致不同的文件属性分类结果，并因此导致无效的经高速缓存的资源标签。

因此，在相对于用户声明评估资源元数据104以前，检验元数据的有效性和最新状态以确定是否需要重新分类。如果是，则执行重新分类，如在上述美国专利申请中描述的。注意到可以检验经高速缓存的属性集中的部分或全部的有效性，和/或可以重新分类资源的部分或全部以更新经高速缓存的属性集。

如本文描述的，除了允许或拒绝访问请求112之外，审核/授权引擎110的审核事件生成逻辑118确定是否要生成一审核事件用于记录在审核事件日志124中。这可以基于资源元数据104和/或环境属性/状态数据126。环境属性的例子包括诸如日时、日期、请求源(例如瑞士以外)等标准。

可以理解，基于对象元数据进行审核的能力具有许多实际使用。例如，安全管理员通常需要确保对企业服务器中的敏感数据的访问安全，所述企业服务器诸如文件服务器、数据库、协作服务器(例如

)等。作为安全的一部分，管理员审核对跨多个服务器的敏感数据的访问尝试，并且报告谁访问了这些系统中的敏感数据。基于资源元数据的审核促进了诸如这样的动作：审核对特定用户或安全组所创建/拥有的文件的访问、审核对特定文件类型/扩展(例如数据库文件、电子数据表)的访问、审核对在特定日期范围内创建的文件的访问、审核对带有敏感内容或被标记为机密的文件的访问、审核对属于特定项目或机构的一部分的文件的访问，等等。

如图1和2所示，事件日志124可以相对于其访问请求触发了审核事件的机器而言被维持在本地，或者为了额外的安全，可以被保持在远程，例如保持在审核数据库20中。事件日志可以从本地存储被复制到远程存储，例如相对频繁以避免篡改。

事件日志124中的每个审核事件222包括保持和审核事件222有关的信息的数据结构(例如，字符串、数据库列数据、文件等)注意到，审核事件222可以根据成功访问尝试、失败访问尝试或不考虑成功或失败的任何尝试而生成，该信息可以被保持作为审核事件的一部分。为审核事件222保持的一些或其他信息在图2中示出，并且可以包括相对于谁或什么触发了审核事件、结果、时间等的数据，诸如用户、用户声明、资源、特性、访问请求、环境数据、失败或成功理由、策略、时戳、审核ID等。下面描述了这种数据的各种示例使用。

在一种实现中，审核规则130(图1)被创建并被提供给审核/授权引擎110。如下所述，管理员等可能确定了零个或多个审核规则，每一个审核规则可以与资源管理器相关联(例如应用于全部文件)或者与特定的资源/对象相关联(例如审核该特定文件)。审核规则的形式可以是一个或多个条件表达式，其中对象元数据104对应于表达式中的一个或多个变量。由条件表达式对对象元数据的评估允许基于诸如文件的敏感性、自创建的天数等对象特性来动态地触发审核事件。

以下提出了对文件的审核规则的条件表达式的一些例子：

“如果(@Resource.sensitivity＝＝’HBI’AND(@Resource.project＝＝’foo’OR@Resource.project＝＝’bar’))，则审核成功读取所有人”

→如果文件敏感性被标记为HBI(高商业影响)且属于项目foo或bar，则评估为真(TRUE)。该规则在条件返回真时设置针对任一成功读取访问的审核触发器。

“如果(@Resource.salesRegion＝＝’Asia’AND@Resource.customer＝＝’XYZCorp’)，则审核读取所有人”

→如果文件属于适当的销售区域或消费者则评估为真。该规则在条件返回真时设置针对任一读取请求的审核触发器。

如果(‘@resource.sensitivity＝＝’High’AND @resource.project＝＝’foobar’)则审核读取/删除

→如果文件敏感性被标记为高(High)且文件属于项目foobar则评估为真。该规则在条件返回真时设置针对任一成功读取/删除访问的审核触发器。

每个审核规则可以连同现有审核规则框架所支持的用户、许可、成功/失败标准一起使用。审核规则可以在特定对象上设置。审核规则也可以在资源管理器范围内在多个对象上设置。例如，诸如NTFS这样的文件系统可以是资源管理器，由此资源管理器范围可以对应于该文件系统的文件；

是多个资源的资源管理器的另一个例子。

在一种实现中，资源(对象)元数据按照惯例被表示为名字值对，例如“敏感性＝高”、“自创建起的天数＝20”等。元数据104可以是相对静态的(例如创建者、题目、文件扩展)，或者可以是相对动态的(例如，文件的敏感性、自创建的天数等)。元数据104需要根据要求准确地确保安全；对于给定的情况，可以使用任意的和强制的访问控制模型。例如，可以使用强制模型来确保诸如文件敏感性等特定属性的安全，而可由对象拥有者来修改较不敏感的属性。

图3示出可以在审核规则处理中采取的一般步骤，审核对象处理一般应用于资源管理器范围的审核规则，也应用于对象范围内的审核规则。注意到对于资源管理器范围内的审核规则，针对跨资源管理器所控制的对象集(例如，文件系统类型的资源管理器的全部文件对象)的对象访问而处理“全局”审核规则。如下所述，如果资源管理器范围审核规则应用，则相对于对其请求访问的对象的元数据而评估条件表达式。如果对象本身具有所指定的审核规则，则可以评估那些每对象的审核规则，例如遵循任一全局审核规则处理。

在步骤301和302，当(由主体)请求对可保证安全的资源(在图3中称为对象)的访问时，给定用户上下文(用户声明)和对象的安全描述符(例如ACL和/或其他策略)，操作系统安全机制评估对该对象的访问。访问因此被许可或拒绝。

步骤304表示进一步的审核评估过程，该过程进行检查，来看该对象是否是为了审核事件而配置，即，是否为该对象定义了一个或多个审核规则。如果是，在步骤306，则连同对象上下文一起，把访问请求评估的结果(访问被许可/拒绝)、用户上下文、许可/拒绝的许可传送至审核逻辑118(图1)。对象上下文包含与对象(诸如在安全描述符中)和对象元数据相关联的审核规则。

在步骤308和310，审核逻辑评估审核规则以确定是否需要触发一事件。通过评估诸如主体、许可、成功/失败等某些标准来检查审核规则的适用性。例如，指定只有访问被拒绝(访问失败)可能导致触发审核事件的审核规则会在步骤310过滤出成功访问。

如果审核规则在步骤310被视为不适用，则在步骤312相对于对象元数据来评估该审核规则内的一个或多个条件表达式。如果对于该对象满足条件表达式，即，结果为真(步骤314)，则在步骤316生成一审核事件(并按需记录)。

步骤318对于相对于对象访问待处理的任何其他规则而重复。

当在对象范围内使用时，本文描述的审核方案提出了一种受到对象元数据内改变的影响的一种灵活的、动态的审核策略。这允许管理员基于对象属性来建立用于生成审核的标准，所述对象属性诸如文件的敏感性、与之相关联的创建者或项目、等等。当对象特性改变时，审核规则的结果也可以改变。这允许在以下情况下的动态审核：当文件在一不同的项目下被改变时、文件用敏感数据修改、当文件尺寸超出一特定限制时、等等。

当在资源管理器范围内使用时，本文描述的审核方案允许基于独立于物理位置的对象特性来逻辑地确定对象的范围。例如，对于独立于被分类为“敏感”的文件被存储在系统中的位置的访问，自动地审核该文件。这允许管理员配置审核系统以回答诸如谁以及在何时访问了系统中的什么敏感数据等问题。本文描述的技术还减少了资源管理器范围的审核策略所需的存储要求，因为在该方案下仅审核相关的对象。这节省了管理员搜索可能非常大量的对象访问事件以便过滤特定类型事件的时间和力气。

可以容易理解，一旦收集了审核事件数据，就可以各种方式来使用(例如针对查询)，包括法庭分析，例如谁曾访问过和泄漏的信息相对应的文件。也可以(例如在任何实际泄漏前)，实现对缺口的监视(更为积极地法庭分析)。

也可标识模式供进一步调查，例如早期检测潜在的问题。例如，如果同一人(或自动化过程)没有任何明显理由这样做，他或她就保持尝试但是未能访问某些敏感文档。可以生成和该人的可能不正确行为模式有关的模式检测警告。

审核数据的另一种使用是按需获得各种列表(例如通过查询数据库220)，例如谁在最近三十天内访问了文件。文件可以根据商业组、人、模式等来分组。例如，可以使用导致可识别模式等的审核来开发策略，例如，只有金融组曾访问了该组文件，因此访问可以通过访问策略限制为仅到金融组的访问。

审核数据的另一种使用是测试可以在实际应用新策略之前应用的新(包括修订的)候选策略的结果。例如，每当开发新策略时，就可能有无法预料的结果(例如，销售人员突然不能访问他们的敏感消费者文件，因为新策略忘记给销售人员组以访问)。为了将这一新策略测试为用于实现的候选，该新策略可以首先实现为审核策略。所收集的审核事件数据将显示出谁被拒绝且为何被拒绝，由此，这一策略中的任何显著问题都可以在被实际实现为系统中的访问策略之前被快速标识和修复。

因此描述了基于对象的元数据来配置和使用每对象的审核策略的能力，由此审核触发器受到对对象元数据的改变所影响。还描述了基于资源(对象)元数据来配置和使用资源管理器范围的审核策略，其允许独立于对象在系统内的物理位置而动态地审核对象。审核规则可以使用涉及资源元数据变量的条件表达式来创建。

审核逻辑/机制支持基于资源元数据(例如对象属性)的审核规则。审核规则可以被构造成条件表达式，其对象属性对应于变量，且当审核规则的条件表达式评估为真时触发审核事件。策略可以在对象范围上和/或在资源管理器范围上被设置。当连同实时资源标记一起使用时，审核事件可以基于内容改变等来触发。

示例性操作环境

图4示出了其上可实现图1-3的示例的合适的计算和联网环境400的一个示例。计算系统环境400只是合适计算环境的一个示例，而非意在暗示对本发明使用范围或功能有任何限制。也不应该将计算环境400解释为对示例性操作环境400中示出的任一组件或其组合有任何依赖性或要求。

本发明可用各种其他通用或专用计算系统环境或配置来操作。适用于本发明的公知计算系统、环境、和/或配置的示例包括但不限于：个人计算机、服务器计算机、手持式或膝上型设备、平板设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费电子产品、网络PC、微型计算机、大型计算机、包括任何以上系统或设备的分布式计算环境等等。

本发明可在诸如程序模块等由计算机执行的计算机可执行指令的通用上下文中描述。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。本发明也可以在其中任务由通过通信网络链接的远程处理设备执行的分布式计算环境中实现。在分布式计算环境中，程序模块可以位于包括存储器存储设备在内的本地和/或远程计算机存储介质中。

参考图4，用于实现本发明的各方面的示例性系统可包括计算机410形式的通用计算设备。计算机410的组件可以包括但不限于：处理单元420、系统存储器430和将包括系统存储器在内的各种系统组件耦合至处理单元420的系统总线421。系统总线421可以是若干类型的总线结构中的任何一种，包括使用各种总线体系结构中的任何一种的存储器总线或存储器控制器、外围总线，以及局部总线。作为示例而非限制，这样的体系结构包括工业标准体系结构(ISA)总线、微通道体系结构(MCA)总线、增强型ISA(EISA)总线、视频电子标准协会(VESA)局部总线，以及也称为附加板(Mezzanine)总线的外围组件互连(PCI)总线。

计算机410通常包括各种计算机可读介质。计算机可读介质可以是能由计算机410访问的任何可用介质，并包含易失性和非易失性介质以及可移动、不可移动介质。作为示例而非限制，计算机可读介质可以包括计算机存储介质和通信介质。计算机存储介质包括以存储诸如计算机可读的指令、数据结构、程序模块或其他数据之类的信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括，但不仅限于，RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁带盒、磁带、磁盘存储或其他磁存储设备，或可以用来存储所需信息并可以被计算机410访问的任何其他介质。通信介质通常以诸如载波或其他传输机制等已调制数据信号来体现计算机可读指令、数据结构、程序模块或其他数据，并包括任一信息传送介质。术语“已调制数据信号”指的是其一个或多个特征以在信号中编码信息的方式被设定或更改的信号。作为示例而非限制，通信介质包括有线介质，如有线网络或直接线连接，以及诸如声学、射频(RF)、红外线及其他无线介质之类的无线介质。上面各项中的任何项的组合也包括在计算机可读介质的范围内。

系统存储器430包括易失性和/或非易失性存储器形式的计算机存储介质，如只读存储器(ROM)431和随机存取存储器(RAM)432。基本输入/输出系统433(BIOS)包括如在启动时帮助在计算机410内的元件之间传输信息的基本例程，它通常储存在ROM 431中。RAM 432通常包含可以立即被处理单元420访问的和/或目前正在由处理单元420进行操作的数据和/或程序模块。作为示例而非限制，图4示出了操作系统434、应用程序435、其他程序模块436和程序数据437。

计算机410也可以包括其他可移动的/不可移动的，易失性/非易失性的计算机存储介质。仅作为示例，图4示出了从不可移动、非易失性磁介质中读取或向其写入的硬盘驱动器441，从可移动、非易失性磁盘452中读取或向其写入的磁盘驱动器451，以及从诸如CD ROM或其他光学介质等可移动、非易失性光盘456中读取或向其写入的光盘驱动器455。可以在示例性操作环境中使用的其他可移动/不可移动、易失性/非易失性计算机存储介质包括但不限于，磁带盒、闪存卡、数字多功能盘、数字录像带、固态RAM、固态ROM等等。硬盘驱动器441通常由不可移动存储器接口，诸如接口440连接至系统总线421，磁盘驱动器451和光盘驱动器455通常由可移动存储器接口，诸如接口450连接至系统总线421。

以上描述并在图4中示出的驱动器及其相关联的计算机存储介质为计算机410提供了对计算机可读指令、数据结构、程序模块和其他数据的存储。例如，在图4中，硬盘驱动器441被示为存储操作系统444、应用程序445、其他程序模块446和程序数据447。注意，这些组件可以与操作系统434、应用程序435、其他程序模块436和程序数据437相同，也可以与它们不同。操作系统444、应用程序445、其他程序模块446和程序数据447在这里被标注了不同的附图标记是为了说明至少它们是不同的副本。用户可通过诸如平板或电子数字化仪464、话筒463、键盘462和定点设备461(通常指的是鼠标、跟踪球或触摸垫)等输入设备向计算机410输入命令和信息。图4中未示出的其他输入设备可以包括操纵杆、游戏手柄、圆盘式卫星天线、扫描仪等。这些和其他输入设备通常由耦合至系统总线的用户输入接口460连接至处理单元420，但也可以由其他接口和总线结构，诸如并行端口、游戏端口或通用串行总线(USB)，来连接。监视器491或其他类型的显示设备也可以通过诸如视频接口490之类的接口，连接到系统总线421。监视器491也可以与触摸屏面板等集成。注意，监视器和/或触摸屏面板可以在物理上耦合至其中包括计算设备410的外壳，诸如在平板型个人计算机中。此外，诸如计算设备410等计算机还可以包括其他外围输出设备，诸如扬声器495和打印机496，它们可以通过输出外围接口494等连接。

计算机410可以使用到诸如远程计算机480之类的一个或多个远程计算机的逻辑连接，在联网环境中操作。远程计算机480可以是个人计算机、服务器、路由器、网络PC、对等设备或其他常见网络节点，并且通常包括许多或所有以上关于计算机410所描述的元件，尽管在图4中仅示出了存储器存储设备481。图4中所示的逻辑连接包括一个或多个局域网(LAN)471和一个或多个广域网(WAN)473，但也可以包括其他网络。这样的联网环境在办公室、企业范围的计算机网络、内部网和因特网中是普遍现象。

当用于LAN网络环境中时，计算机410通过网络接口或适配器470连接到LAN 471。当在WAN联网环境中使用时，计算机410通常包括调制解调器472或用于通过诸如因特网等WAN 473建立通信的其他装置。可为内置或可为外置的调制解调器472可以经由用户输入接口460或其他合适的机制连接至系统总线421。诸如包括接口和天线的无线联网组件可通过诸如接入点或对等计算机等合适的设备耦合到WAN或LAN。在联网环境中，参考计算机410所描述的程序模块，或其某些部分，可以存储在远程存储器存储设备中。作为示例而非限制，图4示出远程应用程序485驻留在存储器设备481上。可以理解，所示的网络连接是示例性的，也可以使用在计算机之间建立通信链路的其他手段。

辅助子系统499(例如，用于内容的辅助显示)可经由用户接口460连接，从而即使计算机系统的主要部分处于低功率状态中，也允许诸如程序内容、系统状态和事件通知等数据被提供给用户。辅助子系统499可连接至调制解调器472和/或网络接口470，从而在主处理单元420处于低功率状态中时，也允许在这些系统之间进行通信。

结论

尽管本发明易于作出各种修改和替换构造，但其某些说明性实施例在附图中示出并在上面被详细地描述。然而应当了解，这不旨在将本发明限于所公开的具体形式，而是相反地，旨在覆盖落入本发明的精神和范围之内的所有修改、替换构造和等效方案。

Claims (10)

1.在一计算环境中，一种在至少一个处理器上执行的方法，包括：确定(304)资源是否具有至少一个相关联的审核规则，所述审核规则包括任何每资源审核规则或任何资源管理器审核规则或两者在内，并且如果是，则处理(308)每个规则，所述处理每个规则包括相对于与所述资源相关联的元数据来评估(312)每个适用的规则以确定是否要生成审核事件，并且如果是，则生成(316)和所述审核规则相对应的审核事件。

2.如权利要求1所述的方法，其特征在于，所述至少一个审核规则包括具有和元数据内包括的信息相对应的至少一个变量的条件表达式，并且其中相对于所述元数据评估所述规则包括评估所述条件表达式。

3.如权利要求1所述的方法，其特征在于，生成所述审核事件，并且所述方法还包括：使用所述审核事件来执行法庭分析、资源监视，或模式检测，或者使用所述审核事件来测试候选访问策略。

4.在一种计算环境中的一种包括安全机制(110)和事件日志(124)的系统，所述安全机制(110)包括审核逻辑(118)，所述审核逻辑(118)相对于审核策略来处理与资源(102)相关联的元数据(104)，所述审核处理包括包含条件表达式的至少一个审核规则(130)，所述元数据包括与所述条件表达式中的至少一个变量相对应的信息，所述审核逻辑被配置成在满足所述条件表达式时生成审核事件，所述事件日志(124)记录所述审核事件。

5.如权利要求4所述的系统，其特征在于，所述安全机制包括审核和授权引擎，所述审核和授权引擎还包括基于用户声明来许可或拒绝对所述资源的访问的访问策略机制。

6.如权利要求4所述的系统，其特征在于，所述审核策略包括独立于所述资源的物理位置而提供资源审核的至少一个资源管理器审核策略。

7.如权利要求4所述的系统，其特征在于，所述审核事件包括和访问请求成功或失败、用户数据、用户声明、资源数据、资源特性、所请求的访问类型、环境数据、失败或成功理由、策略数据、时标或审核标识符或者以上各项的任意组合相对应的数据。

8.一个或多个具有计算机可执行指令的计算机可读介质，所述计算机可执行指令在被执行时执行以下步骤，包括：

(a)确定(310)一个或多个待处理审核规则的集合的审核规则是否合适用于相对于资源元数据进行评估，如果不，则前进至步骤(d)；

(b)相对于资源元数据评估所述审核规则中的一个或多个条件表达式以确定是否要生成审核事件，如果不，则前进至步骤(d)；

(c)生成(316)所述审核事件；

(d)从所述待处理集合中移除所述审核规则；以及

(e)对于待处理集中的每个其他审核规则返回(318)至步骤(a)，直至没有审核规则剩余。

9.如权利要求8所述的一个或多个计算机可读介质，其特征在于，所述待处理审核规则包括至少一个资源管理器审核策略或至少一个资源专用的审核规则，或者既包括至少一个资源管理器审核策略又包括至少一个资源专用的审核规则。

10.如权利要求8所述的一个或多个计算机可读介质，其特征在于，确定审核规则是否合适用于相对于资源元数据进行评估包括：基于主体、许可或访问成功/失败数据、或者以上各项的任意组合来确定适用性。

Images